[딜사이트 이태민 기자] 크래프톤이 국내 주요 게임사 가운데 정보보호 투자 확대에 가장 적극적인 행보를 보이고 있는 것으로 나타났다. IT 인프라와 보안 솔루션에는 공격적으로 투자하며 정보보호 투자액을 5년 만에 세 배 이상 늘렸다.

반면 이를 운영할 전담 인력은 경쟁사보다 적은 수준에 머물렀다. 글로벌 서비스 확대와 인공지능(AI) 도입으로 보안 수요가 빠르게 늘어나는 가운데, 투자와 인력의 균형을 어떻게 맞출지가 새로운 과제로 떠오르고 있다.

매년 늘어난 보안 투자…글로벌 성장과 함께 커진 보안 부담

23일 한국인터넷진흥원(KISA) 정보보호 공시와 크래프톤 지속가능경영보고서에 따르면 크래프톤의 정보보호 투자액은 2021년 40억원에서 2025년 134억원으로 5년 새 3배 이상 증가했다. 지난해 처음으로 100억원을 넘어선 데 이어 올해도 증가세를 이어갔다.

연도별 투자액은 ▲2021년 40억원 ▲2022년 64억원 ▲2023년 66억원 ▲2024년 96억원 ▲2025년 134억원으로 집계됐다. 주요 게임사 가운데 투자 증가 폭이 가장 가파른 수준이다.

정보기술(IT) 투자 대비 정보보호 투자 비중도 같은 기간 2.0%에서 4.8%로 두 배 이상 높아졌다. 일부 게임사가 IT 투자 축소로 정보보호 투자 비중이 높아지는 ‘착시 현상’을 보인 것과 달리, 크래프톤은 연간 2000억원대 IT 투자를 유지하면서 정보보호 투자 자체를 꾸준히 늘렸다는 점에서 차이가 있다.

이 같은 투자 확대는 단순히 회사 규모가 커졌기 때문만은 아니다. 'PUBG: 배틀그라운드'를 중심으로 글로벌 이용자가 빠르게 늘어나면서 개인정보 보호와 계정 보안, 클라우드 인프라 운영 등 보안 관리 범위 자체가 크게 확대된 영향으로 풀이된다.

실제 크래프톤의 매출은 같은 기간 1조8863억원에서 3조3266억원으로 76% 증가했다. 아쉬운 부분은 매출 증가 속도가 정보보호 투자 확대보다 더 빨랐던 탓에 매출 대비 정보보호 투자 비중은 0.4% 수준에 머물렀다는 점이다. 절대 투자 규모와 달리 상대 지표에서는 여전히 개선 여지가 남아 있다는 평가다.

투자 속도 대비 전담인력 확충 더뎌… 대응 유연성 확보 숙제

공격적인 투자와 달리 전담 인력 확대 속도는 상대적으로 더뎠다.

정보보호 투자액이 3배 이상 증가하는 동안 전담 인력은 2021년 31.3명에서 2025년 42.2명으로 약 35% 늘어나는 데 그쳤다. 올해 정보보호 투자 규모가 비슷한 넥슨코리아(265억원·150.3명)와 엔씨소프트(146억원·81.8명)와 비교하면 인력 규모는 상당히 적은 편이다.

반면 외부 인력 의존도는 업계 최저 수준이다. 크래프톤의 정보보호 외주 인력은 매년 0.2~1.3명으로 전체 전담 인력의 3% 안팎에 불과했다. 내부 인력은 같은 기간 30.7명에서 40.9명으로 늘었다.

크래프톤 관계자는 "클라우드 기반 SaaS 형태의 보안 서비스를 적극 활용하고 있어 전통적인 유지보수 계약이나 외주 용역 비중이 상대적으로 낮다"고 설명했다.

이는 핵심 보안 업무를 외부보다 내부 조직이 직접 수행하는 '소수 정예' 전략으로 해석된다. 핵심 시스템을 직접 관리하면서 기밀 유지와 사고 대응 속도를 높이려는 의도다.

하지만 내부 인력 중심 구조는 장점과 함께 한계도 안고 있다. 평상시에는 운영 효율이 높지만 대규모 침해사고나 글로벌 서비스 장애가 동시에 발생할 경우 대응 인력을 탄력적으로 확대하기 쉽지 않기 때문이다.

AI 기술 확산과 글로벌 서비스 확대는 이러한 부담을 더욱 키우고 있다. 생성형 AI를 노린 공격과 클라우드 기반 해킹이 고도화되는 상황에서 현재의 인력 규모만으로 늘어나는 보안 수요를 충분히 감당할 수 있을지가 향후 과제로 떠오를 전망이다.

중장기 보안 로드맵 제시…청사진 뒷받침할 '실행력' 관건

중장기 보안 전략도 비교적 구체적으로 제시했다. 업계에서는 계획보다 이를 실제 실행할 조직과 인력이 뒷받침되는지가 더 중요하다고 보고 있다.

크래프톤은 올해까지 윈도우 단말 보안 관리체계와 AI 기반 위협 탐지·대응 자동화 시스템을 구축할 계획이다. 오는 2030년까지 조직별 '시큐리티 챔피언(Security Champion)' 제도를 도입하고 글로벌 개인정보보호 및 AI 보안 거버넌스를 구축한다는 방침이다. 이후 게임 개발 전 과정에 보안을 내재화하는 'Security by Design'과 '제로 트러스트(Zero Trust)' 아키텍처도 정착시킬 계획이다.

국제 인증 확대에도 속도를 내고 있다. 기존 정보보호·개인정보보호 관리체계 인증(ISMS-P) 인증에 더해 올해 ISO/IEC 27001(정보보호 관리체계)과 ISO/IEC 27701(개인정보 관리체계)을 새롭게 취득했다. 글로벌 서비스 확대에 맞춰 국제 수준의 정보보호 체계를 갖추려는 전략으로 풀이된다.

결국 크래프톤 보안 전략의 성패는 투자 규모보다 실행력에 달려 있다는 평가다. 보안 인프라와 시스템은 충분히 구축하더라도 이를 운영하고 고도화할 전문 인력이 뒷받침되지 않으면 장기적인 경쟁력 확보에 한계가 있을 수 있다는 것이다.

보안업계 관계자는 "인프라 확보를 위한 선제 투자는 긍정적이나 결국 시스템을 운영하고 예기치 못한 사고에 대응하는 것은 사람의 몫"이라며 "AI 등 신기술 도입으로 보안 수요가 급증하는 만큼 실질적인 전담 인력 규모도 함께 늘려갈 필요가 있다"고 말했다.

이와 관련해 크래프톤 관계자는 "지난해 보안 정책 수립과 취약점 진단, 클라우드 보안 등 주요 기능별 전문인력을 확충했다"며 "글로벌 개인정보보호법 대응 인력도 지속 보강하는 등 정보보호 전담 조직을 꾸준히 확대하고 있다"고 말했다.